Opmerkelijke drag-and-drop IE bug ontdekt

Onderdeel van meerdere problemen

20 juli 2004 | Lars Pasveer Ondanks het feit dat er voor Internet Explorer een flink aantal patches is uitgebracht, blijven berichten opduiken over ernstige - en aantoonbare - lekken. Een opvallend probleem is een drag-and-drop lek in de Microsoft browser.

We testten dit lek via een demonstratiepagina van de ontdekkers. Op een machine met Windows XP, voorzien van alle recente patches, werkt het lek (dat What A Drag is gedoopt) zonder enig probleem: wie binnen Internet Explorer via een speciaal opgemaakte pagina een icoontje versleept en loslaat, installeert zonder enige tussenkomst een uitvoerbaar stukje software.

Bovendien wordt, wederom zonder enige tussenkomst of terugkoppeling via een dialoogvenster, een verwijzing naar het stukje software gemaakt in de opstartmap, zodat deze bij de volgende herstart geladen wordt. Een lek als deze kan bijvoorbeeld eenvoudig in een online spelletje worden verpakt. De gevolgen kunnen groot zijn als het geïnstalleerde pakketje een virus, trojan of 'wis de harde schijf'-commando bevat.

Naast dit drag-and-drop-lek zoemt het op mailinglijsten als Bugtraq en sites als SecurityFocus van de meldingen van IE-lekken. Een ander geconstateerd gat in al gepatchte versies van IE heet Hijack Click 3 en stelt websites in staat om op eenvoudige wijze - zonder tussenkomst - een link aan de favorieten toe te voegen.

Dezelfde auteur ontdekte ook een probleem dat hij Overly Trusted Location Variant Method Cache Vulnerability doopte. Het stelt kwaadwillenden blijkbaar in staat programmacode uit te voeren in een venster dat eigenlijk voor een foutmelding is bedoeld. Deze code wordt naar het zich laat aanzien uitgevoerd buiten in IE ingestelde veiligheidsmarges.
Wel is dit lek zo onstabiel dat het meestal de browser laat crashen, wat exploitatie een stuk lastiger maakt.

Voor geen van de hier geconstateerde problemen heeft Microsoft momenteel pleisters beschikbaar. Experts adviseren om in Internet Explorer zaken als Active Scripting uit te schakelen, Javascript te deactiveren of over te stappen op alternatieve browsers. Lees meer artikels over : ie, lek, bug, malware

bron: ZDNet